Сегодня в Австралии арестовали двух предполагаемых участников TeamPCP — 21-летнего Ruben Ian Thomson и 23-летнего Louis Michael Gaebler. Thomson следствие считает одним из основных операторов группы.

Прикол в том, что TeamPCP, похоже, успели практически деанонимизироваться ещё до ареста.

До этого существовало несколько версий об их происхождении.

Из-за проверки RU-locale, русских и славянских отсылок (Koschei, BABA-YAGA)в malware и модуля «русская рулетка» обсуждался российский след. Antiy, наоборот, пришла к выводу, что эти признаки слишком демонстративны и скорее похожи на false flag. Параллельно ходила версия об израильском происхождении операторов — вплоть до предположений о бывших сотрудниках Wiz и выходцах из Unit 8200. Серьёзных подтверждений у неё не было.

У Google к июню была гораздо более прозаичная картина. Они считали, что это вообще не устойчивая группа: значительная часть операций, вероятно, выполнялась одним человеком, иногда с сообщниками. В активности также фиксировали residential/mobile IP из Южной Африки.

Теперь известно, что семья Ruben Thomson имеет связи с South Africa.

Но главное — OSINT.

С TeamPCP постепенно связали целую цепочку псевдонимов:

PCPcat → DeadCatx3 → BulkDMT → EllisD25 → Express.

Связи находили по повторно используемым Tox ID, Session ID, Telegram-контактам и инфраструктуре.

Дальше начался плохой OPSEC.

DeadCatx3 обнаружился на HackerOne — профиль был оформлен на имя Ruben Thomson.

Тот же ник появился на Hugging Face рядом с доменом masscan. cloud. Позже этот домен использовался TeamPCP в инфраструктуре Mini-Shai-Hulud.

KELA раскрутила историю дальше. Старые Telegram-аккаунты вели в локальные чаты Перта. Затем нашлись PayPal, Truecaller, Facebook, старые игровые аккаунты, утёкшие email и Google Maps. Все независимые цепочки снова сходились на Ruben Thomson из Perth.

Brian Krebs сообщил после ареста, что установил личность Thomson ещё в июне и с тех пор общался с ним. Его цепочка была отдельной: аккаунт Express на BreachForums → Gmail → старый аккаунт RaidForums → residential IP в Perth → домашние Synology/QNAP → семейные аккаунты → Ruben Thomson.

Смешным пунктом оказался Airbnb.

В профиле Thomson было написано:

“Hey, I’m Ruben, my friends call me Ellis.”

EllisD25 — один из старых псевдонимов, связанных с TeamPCP.

Пока обсуждались Россия, Израиль и Unit 8200, предполагаемый оператор TeamPCP оставил OSINT-цепочку из форумных ников, HackerOne с настоящим именем, PayPal, домашних IP и Airbnb 😂

@gostev_future